Fragen zu EFS

Hallo zusammen!

Ich studiere digitale Forensik und beschäftige mich im Moment mit der EFS-Verschlüsselung. Ich habe Folgendes versucht:
Ich habe verschlüsselte Dateien erstellt, bearbeitet, gelöscht und kopiert. Kopiert habe ich die Dateien anschließend auf demselben Laufwerk, sowie wie auf einem USB-Stick (FAT). Außerdem habe ich die verschlüsselten Daten per E-Mail gesendet.

Bei der Analyse der Bilder mit Autopsy und X-Ways Forensics sind mir folgende Dinge aufgefallen:
Für die verschlüsselte Datei, die ich gelöscht, aber nicht aus dem "Papierkorb" entfernt habe, bekomme ich keine Zeitstempel oder andere Informationen außer dem Dateinamen angezeigt. Für die gelöschte Datei, die ich zudem aus dem Papierkorb gelöscht habe, erhalte ich neben einem Dateinamen (nicht den originalen sondern die Benutzer-SID) sowie zusätzliche Informationen wie SID, OwnerID und Timestamp. Wie kommt dieses Ergebnis zustande? Haben sie eine Idee? Warum bekomme ich mehr Infos für die komplett gelöschte Datei und keine Zeitstempel für die Datei im Papierkorb?

Die Kopie innerhalb des selben Laufwerkes scheint einfach eine Kopie zu sein, ich habe hier nichts besonderes bemerkt. Es war jedoch interessant, die per E-Mail versandten Dateien zu untersuchen. Da die Verschlüsselung verloren ging, konnte ich den Inhalt lesen, aber alle wichtigen Informationen, die ich in den verschlüsselten Dateien gesehen habe, fehlten: die Berechtigungen, die SID, die GroupID und die Änderungszeit.
Sind diese Informationen im EFS gespeichert und gingen mit dem EFS verloren, oder liegt der Grund wo anders?

Das interessanteste Ergebnis fand ich jedoch bei der Analyse der verschlüsselten Dateien auf dem USB-Stick. Obwohl die Verschlüsselung beibehalten wurde, was wahrscheinlich daran liegt, dass ich Windows 10 habe, zeigen die Daten ein ähnliches Verhalten in der Analyse, wie die per E-Mail verschickten Daten: kein Change-Time Zeitstempel, keine SID, GroupID usw. Und eine Aufspaltung in: $EFS, der eigentlichen Textdatei und einer .PFEILE -Datei Ich bin verwirrt ... Wie so ist das passiert?

Ich hoffe, Sie haben einige Ideen und Anregungen für mich, die mir helfen werden, EFS besser zu verstehen.

Weiterlesen...

 

Hi

ich glaube, diese Frage passt nicht zu dieser Community, bitte wende dich an
TechNet.

 

Hi areiland.
Danke für die schnelle Antwort.
Die DVD heißt: Europaführerschein 2012 und ließ sich unter W-7 so öffnen. Nach der Installation hab ich den Fragenteil unter Schnellzugriff Europaführereschein 2012 mit einigen Unterordnern gefunden. In dem Unterordner efs waren die Fragen zum Lernen. Die anderen Unterordner lassen sich noch so öffnen. Diesen Ordner (efs) habe ich umbenannt in Fragen. Danach wurde nichts mehr angezeigt. Dann habe ich zurückbenannt in efs. Auch jetzt öffnen sich nicht die Fragen. Was ist das denn?
Vielen Dank nochmals.

 

Ach schade. Aber danke für den Tipp mit NetTech. Wer weiß, vielleicht fällt dem ein oder anderen doch was dazu ein.

Liebe Grüße!

Anna

 

Hi und danke für die Antwort.
Nach der Installation war nicht mehr ersichtlich ob hinter der Bezeichnung -efs- eine Datei oder ein Ordner ist. Ich konnte vor der Umbenennung -efs. öffnen und da waren alle Fragen und Antworten der Fühererscheinprüfung. ( Ich habe die CD gekauft weil meinEnkelkind die Prüfung da noch machen mußte) . Demnach also ein ganzer Ordner. Natülich könnte ich neu installieren, aber ich möchte wissen warum W-10 soetwas macht und wie man das reparieren kann, wenn andere Ordner sich nicht öffnen lassen die man nicht erneuern kann. Ich bin über das Internet an das Forum gekommen als ich meine Frage stellte.
Noch eine Frage: Ich habe ein Foto eingestellt, kann das aber nur bei mir sehen. Meine Beiträge sind ohne Foto. Was muß ich machen damit mein Profilbild für alle zu sehen ist?
mfg